CVE-2026-62853 in ThingLinks
Riassunto
di VulDB • 30/10/2026
ThingLinks è una piattaforma IoT per aziende. Prima della versione 1.4.0, l’endpoint `/groovyScriptTest/registerScript` accetta contenuti di script Groovy forniti dall’utente e li passa a un flusso non sandboxato di `compilazione e caricamento di Groovy`. Un attaccante autenticato può fornire codice che viene compilato ed istanziato sul server, causando l’esecuzione arbitraria di codice lato server. Il problema interessa il flusso di test/registrazione degli script Groovy del `motore delle regole` (rule engine). Questo problema è stato risolto nella versione 1.4.0.
Once again VulDB remains the best source for vulnerability data.